Ha valaki a Palo Alto tűzfalak árát keresi, gyakran egyetlen számot vár. A valóságban két azonos modell ára is jelentősen eltérhet attól függően, milyen védelmi előfizetések futnak rajta, hány évre, és mekkora munka a beüzemelés. Ezért mi sem közlünk fix listaárat. Ebben a cikkben leírjuk, mi mindenből áll össze az ár.
1. A hardver
Az első tétel maga az eszköz, amelyet a forgalomhoz kell méretezni. A legfontosabb szám nem a tűzfal-áteresztés, hanem a Threat Prevention áteresztés: ennyi forgalmat visz el a tűzfal úgy, hogy közben minden védelmi funkció be van kapcsolva. Egy 1 Gbps-os internetkapcsolathoz például a PA-520 vagy a PA-540 a jellemző kiindulópont.
A hardver árát növeli, ha:
- két eszköz kell magas rendelkezésre állásban (HA-pár), hogy egy hiba ne állítsa le a céget,
- PoE-s vagy 5G-s változat kell (például PA-545-POE vagy PA-520-5G),
- rackbe szerelhető, nagyobb kapacitású sorozat kell (PA-1400 vagy afölött).
2. A védelmi előfizetések
A Palo Alto tűzfal előfizetések nélkül is működik tűzfalként, de a védelem nagy része előfizetéshez kötött. A leggyakoribbak:
- Advanced Threat Prevention: behatolásmegelőzés (IPS), ismert és ismeretlen exploitok, vezérlőszerverek (C2) felé irányuló forgalom blokkolása.
- Advanced WildFire: az ismeretlen fájlok elemzése felhős környezetben.
- Advanced URL Filtering: weboldalak kategorizálása, adathalász oldalak tiltása.
- Advanced DNS Security: rosszindulatú domainek, DNS-alagutak felismerése.
- GlobalProtect: távoli elérés; egyes funkciókhoz külön licenc kell.
- Továbbá igény szerint: SD-WAN, IoT-eszközök felismerése (Device Security), adatszivárgás elleni védelem.
Hogy melyik kell, az a kockázatoktól és a megfelelési elvárásoktól függ. Egy NIS2 alá tartozó szervezetnél például a behatolásmegelőzés és a naplózás szinte elkerülhetetlen.
3. Az időtartam
Az előfizetések és a gyártói támogatás meghatározott időre szólnak, jellemzően egy vagy több évre. A többéves konstrukció évre vetítve általában kedvezőbb, cserébe egyszerre nagyobb a kiadás. Az ajánlatban mindkét változatot meg tudjuk mutatni.
4. A gyártói támogatás
A támogatás biztosítja a szoftverfrissítéseket és a hardvercserét meghibásodás esetén. Tűzfalnál ezt nem érdemes kihagyni: frissítés nélkül egy biztonsági eszköz gyorsan elavul.
5. A beüzemelés
Itt van a legnagyobb különbség két ajánlat között. Egy egyszerű irodai telepítés más munka, mint egy több telephelyes környezet átállítása egy másik gyártó tűzfaláról. A beüzemelés jellemzően tartalmazza:
- a zónák, a NAT és a szabályrendszer kialakítását, vagy a régi szabályok átnézését és átültetését,
- az Active Directory összekötését, hogy a szabályok felhasználókra szólhassanak,
- a VPN (site-to-site és távoli elérés) beállítását,
- az SSL-ellenőrzést tanúsítványokkal és kivételekkel,
- a HA-pár kialakítását és tesztelését,
- a dokumentációt és az átadást.
6. Az üzemeltetés (opcionális)
Ha a tűzfalat nem a saját informatikusai kezelik, az üzemeltetés havidíjas szolgáltatás: frissítések, szabálymódosítások, naplók átnézése, licencmegújítás. Ezt külön is kérheti, vagy a teljes IT üzemeltetés részeként.
Mit érdemes megadni az ajánlatkéréshez?
- a felhasználók és a gépek száma,
- az internetkapcsolat sebessége (és ha van, a tartalék vonalé),
- a telephelyek száma, és hogy össze kell-e kötni őket,
- kell-e távoli elérés (VPN), és hány felhasználónak,
- kell-e SSL-ellenőrzés,
- mi a jelenlegi tűzfal, és van-e megfelelési elvárás (NIS2, ISO 27001),
- egy eszköz vagy HA-pár, és hány évre szóljon az előfizetés.
Nem kell mindent tudnia. Ha csak a felhasználók számát és az internetkapcsolatot adja meg, abból is tudunk kiinduló javaslatot adni, a többit egy rövid egyeztetésen tisztázzuk.
A sorozatok gyártói adatait és egy gyors modellajánlót a Palo Alto tűzfalak oldalon talál.